Wejherowo: mieszkaniec pytał o umowy gminy, firma dowiedziała się, kto pyta. UODO interweniuje

Urząd miasta w Wejherowie przekazał przedsiębiorcy dane osobowe mieszkańca, który chciał sprawdzić, na jakich warunkach gmina współpracuje z tą właśnie firmą. Powodem był błąd interpretacyjny: prezydent miasta uznał, że dwa niezależne wnioski informacyjne można połączyć i prowadzić jak jedną sprawę urzędową. Prezes Urzędu Ochrony Danych Osobowych ocenił to inaczej i wydał formalne upomnienie prezydentowi miasta.

Najważniejsze:

• Mieszkaniec Wejherowa zwrócił się do prezydenta miasta z pytaniem o umowy samorządu z pewną firmą oraz o skany powiązanych faktur, klasyczny instrument obywatelskiej kontroli wydatków publicznych.
• W odpowiedzi urząd poinformował go, że pismo trafiło też do samej firmy, razem z danymi pozwalającymi zidentyfikować pytającego, bez żadnego ich wcześniejszego ukrycia.
• Prezydent tłumaczył działanie tym, że właściciel firmy złożył równolegle własne zapytanie i dlatego obie sprawy potraktowano jak jedno postępowanie administracyjne prowadzone na podstawie Kodeksu postępowania administracyjnego.
• UODO wyjaśnił, że tryb udostępniania informacji publicznej to procedura rządząca się własnymi przepisami, odrębna od KPA, a każde zapytanie informacyjne musi być rozpatrywane samodzielnie, z poszanowaniem zasady minimalizacji danych wynikającej z RODO.
• Prezes UODO upomniał prezydenta miasta, formalnie stwierdzając naruszenie prawa ochrony danych. Upomnienie nie wiąże się z karą finansową, lecz jest odnotowywane i może stanowić punkt odniesienia przy ewentualnych przyszłych naruszeniach.

Co się wydarzyło i dlaczego to nie jest drobna pomyłka

Mieszkaniec Wejherowa skorzystał z prawa, które przysługuje każdemu obywatelowi: zapytał władze miasta o szczegóły umów zawartych z konkretną firmą oraz o dokumenty finansowe potwierdzające tę współpracę. Jest to jeden z niewielu mechanizmów, dzięki którym zwykły mieszkaniec może realnie sprawdzić, jak gmina gospodaruje publicznymi pieniędzmi.

Problem ujawnił się w chwili, gdy dostał odpowiedź. Z pisma wynikało, że zostało ono skierowane jednocześnie do firmy, której dotyczyło zapytanie, a wraz z nim trafiły tam dane pozwalające ustalić tożsamość pytającego. Innymi słowy: firma, która była przedmiotem obywatelskiego pytania, dowiedziała się, kto to pytanie zadał.

To nie jest kwestia wyłącznie formalnej poprawności. Osoba kontrolująca wydatki gminy może być lokalnym działaczem, dziennikarzem obywatelskim, a nawet pracownikiem konkurencji lub po prostu zaniepokojonym sąsiadem. Ujawnienie jej tożsamości podmiotowi, o który pyta, wystawia ją na ryzyko presji, prób wyjaśnień czy innych działań ze strony zainteresowanego. Właśnie dlatego zasada ochrony danych wnioskodawcy w takich sytuacjach ma znaczenie wykraczające poza przepisy: chroni praktyczną możliwość korzystania z prawa do informacji bez obawy o konsekwencje.

Skąd wziął się błąd i dlaczego był intuicyjny, ale nieprawidłowy

Prezydent miasta stanął przed sytuacją, która na pierwszy rzut oka mogła wyglądać jak klasyczny przypadek ze zbioru spraw „powiązanych”: jeden mieszkaniec pyta o umowy z firmą X, a właściciel firmy X pyta, czy ktoś w ogóle takich pytań nie zadaje. Oba wnioski krążą wokół tego samego tematu. Logika urzędnicza podpowiadała: skoro temat ten sam, strony są więcej niż jedna, to może to jedno postępowanie, i właśnie tak do sprawy podszedł Prezydent, stosując przepisy Kodeksu postępowania administracyjnego.

Ta interpretacja jest jednak błędna, i to błędna w sposób nieprzypadkowy. Prezes UODO wskazał wyraźnie, że tryb rozpatrywania zapytań o informację publiczną funkcjonuje na odrębnych zasadach, niezależnych od KPA. Kodeks postępowania administracyjnego reguluje wydawanie decyzji, rozstrzyganie sporów i inne typowe czynności urzędowe. Udzielanie informacji publicznej to procedura informacyjna, z własną logiką i własnymi przepisami, i próba wtłoczenia jej w ramy KPA, choćby w dobrej wierze, prowadzi do skutków, które te przepisy miały właśnie wykluczyć.

Zdaniem części praktyków interpretacja Prezesa UODO jest rygorystyczna: KPA rzeczywiście przewiduje możliwość łączenia spraw dotyczących zbliżonego przedmiotu, a intencja prezydenta miasta mogła być pragmatyczna, a nie zła. Niemniej UODO jednoznacznie priorytetyzuje tu przepisy o ochronie danych nad ogólną logiką postępowania administracyjnego, i ta priorytetyzacja ma swoje uzasadnienie: bez niej zasada poufności wnioskodawcy byłaby łatwa do obejścia przez każdy urząd, który uzna dwa wnioski za „powiązane”.

Każde zapytanie to osobna sprawa, co to oznacza w praktyce

Rozstrzygnięcie UODO w tej sprawie niesie ze sobą zasadę, która ma znaczenie dla wszystkich urzędów w Polsce: złożenie przez różne osoby kilku zapytań o informację publiczną, nawet gdy dotyczą one zbliżonego tematu, nie daje urzędowi podstawy do łączenia ich w jedno postępowanie. Każde zapytanie jest samodzielnym żądaniem i wymaga samodzielnej odpowiedzi.

Konsekwencja jest prosta: skoro sprawy są odrębne, dane jednego wnioskodawcy nie mogą pojawiać się w odpowiedzi kierowanej do drugiego. Prezydent miasta jako administrator danych osobowych jest związany regułą minimalizacji przewidzianą przez RODO, co oznacza, że nie wolno mu przetwarzać ani ujawniać więcej danych, niż wymaga tego konkretna sprawa, którą aktualnie załatwia. Odpowiadając właścicielowi firmy, nie miał żadnej podstawy prawnej, by włączyć do tej odpowiedzi dane mieszkańca, który złożył odrębne zapytanie.

Co oznacza upomnienie i co może się wydarzyć dalej

Prezes UODO dysponuje szerokim wachlarzem środków wobec administratorów danych naruszających przepisy, od nakazów zaprzestania określonych działań, przez zobowiązania do wdrożenia określonych procedur, aż po administracyjne kary finansowe. Upomnienie sytuuje się na łagodniejszym końcu tej skali: nie wiąże się bezpośrednio z sankcją pieniężną, jednak formalnie stwierdza naruszenie prawa i jest odnotowywane.

Dla samorządu oznacza to kilka rzeczy jednocześnie. Po pierwsze, decyzja UODO jest jawna, a jej treść publicznie dostępna, co samo w sobie jest informacją dla mieszkańców o tym, jak urząd postępował z ich danymi. Po drugie, upomnienie staje się punktem odniesienia: gdyby do podobnych zdarzeń doszło w przyszłości, Prezes UODO miałby podstawę do sięgnięcia po surowsze instrumenty. Po trzecie, sprawa jest sygnałem dla innych urzędów w Polsce, że UODO reaguje nawet na naruszenia, które mogą wyglądać na drobne potknięcia proceduralne.

Szerszy kontekst: błąd Wejherowa nie jest wyjątkiem

Przypadek ten wpisuje się w powtarzający się wzorzec: urzędy publiczne stosują KPA do procedur, które mają własne, odrębne podstawy prawne. Obok dostępu do informacji publicznej podobne napięcia pojawiają się przy obsłudze sygnalistów czy przy realizacji praw wynikających z RODO. Każda z tych procedur ma swoją ścieżkę i swoją logikę, zastąpienie jej ogólnym kodeksem administracyjnym prowadzi do dokładnie takich skutków, jak w tej sprawie: dane osobowe trafiają tam, gdzie nie powinny.

Dla innych samorządów wniosek jest praktyczny: procedury dostępu do informacji publicznej wymagają odrębnych instrukcji wewnętrznych i szkoleń pracowników, a nie tylko ogólnej znajomości KPA. Urząd, który nie rozróżnia tych trybów, naraża się nie tylko na upomnienie, ale też, w razie kolejnych naruszeń, na poważniejsze konsekwencje przewidziane przez przepisy o ochronie danych.

Porównanie: co zrobił urząd i jak powinien był postąpić

Najczęściej zadawane pytania

Czy firma, o którą pytam we wniosku o informację publiczną, może dowiedzieć się, że to ja pytam?

Co do zasady nie powinna. Obowiązek ochrony danych wnioskodawcy spoczywa na urzędzie z mocy prawa, bez konieczności odrębnego zastrzeżenia. Sprawa z Wejherowa pokazuje, że błędy proceduralne mogą jednak prowadzić do ujawnienia tożsamości pytającego. Jeśli masz uzasadnione obawy, możesz w piśmie przewodnim zaznaczyć, że Twoje dane mają charakter poufny i wnosić o ich nieudostępnianie osobom trzecim, choć formalnie obowiązek ochrony i tak ciąży na urzędzie.

Co zrobić, jeśli urząd już ujawnił moje dane firmie, o którą pytałem?

Przysługuje Ci prawo złożenia skargi do Prezesa Urzędu Ochrony Danych Osobowych. Dokładnie w taki sposób postąpił mieszkaniec Wejherowa, i to jego skarga uruchomiła całe postępowanie, które zakończyło się formalnym upomnieniem. Skargę składa się bezpośrednio do UODO, opisując okoliczności zdarzenia. Warto zachować wszelkie pisma i potwierdzenia jako dokumentację naruszenia.

Czy mogę żądać odszkodowania za ujawnienie moich danych?

Źródło nie opisuje tej kwestii w odniesieniu do konkretnej sprawy. Ogólnie przepisy RODO przewidują prawo do odszkodowania od administratora, który naruszył przepisy i wyrządził przez to szkodę, jednak ocena, czy i w jakiej wysokości roszczenie przysługuje, zależy od okoliczności konkretnego przypadku i wymaga analizy prawnej.

Jak długo urząd powinien przechowywać dokumenty związane z naruszeniem?

Kwestia ta nie wynika wprost z opisanej sprawy. Wiadomo jednak, że dokumentacja związana z naruszeniem ochrony danych powinna być przechowywana przez administratora na potrzeby ewentualnego postępowania wyjaśniającego prowadzonego przez UODO. Szczegółowe terminy wynikają z wewnętrznych przepisów urzędu oraz instrukcji kancelaryjnej.

Czym jest anonimizacja i na czym polega w praktyce?

Anonimizacja polega na trwałym usunięciu lub skutecznym zakryciu wszystkich informacji, które pozwalają ustalić tożsamość konkretnej osoby: imienia, nazwiska, adresu, numeru PESEL czy innych danych identyfikujących. W praktyce urząd powinien był przed przesłaniem jakiegokolwiek dokumentu do firmy wykreślić lub zasłonić dane mieszkańca w taki sposób, żeby odbiorca, nawet przy próbach, nie był w stanie ustalić, kto złożył zapytanie.

Czy upomnienie to poważna konsekwencja dla samorządu?

Upomnienie nie wiąże się bezpośrednio z karą finansową, jednak formalnie stwierdza naruszenie przepisów o ochronie danych i jest odnotowywane. Decyzja UODO jest jawna, co oznacza, że mieszkańcy mogą się dowiedzieć, jak urząd postępował z danymi. Co ważniejsze, upomnienie stanowi punkt odniesienia: jeśli do podobnych zdarzeń dojdzie ponownie, Prezes UODO dysponuje surowszymi instrumentami, łącznie z możliwością nałożenia administracyjnej kary finansowej.

Materiał przygotowany z wykorzystaniem narzędzi sztucznej inteligencji.

Fot. Marcin Drewa / Wikimedia Commons (CC BY-SA 3.0 pl)